Säkerhetsskyddsplan. Fastställd av kommunfullmäktige

Transkript

1

2 Innehållsförteckning 1 Allmänna bestämmelser Säkerhetsskydd Syfte Målsättning Förutsättningar och ansvar Riktlinjer för säkerhetsskyddsarbetet Säkerhetsanalys Tillträdesbegränsningar (anläggningar) Informationssäkerhet Säkerhetsprövning och säkerhetsklassning Säkerhetsprövning Säkerhetsklassning Säkerhetsprövning och säkerhetsklassning viktig skillnad Säkerhetsskyddad upphandling (SUA) Anvisningar, information och utbildning Kontroll och tillsyn (6 )

3 1 Allmänna bestämmelser Från den 1 juli 1996 gäller Säkerhetsskyddslag (1996:627) och Säkerhetsskyddsförordning (1996:633). Polismyndighetens föreskrifter och allmänna råd om säkerhetsskydd, (PMFS 2015:3) gäller från april Säkerhetsskyddslagen och förordningen gäller för kommunens verksamheter samt aktiebolag, handelsbolag, föreningar och stiftelser över vilka kommunen utövar ett rättsligt bestämmande. 1.1 Säkerhetsskydd Med säkerhetsskydd avses enligt säkerhetsskyddslagen 1. Skydd mot spioneri, sabotage och andra brott som kan hota rikets säkerhet. 2. Skydd av uppgifter som omfattas av sekretess (hemliga uppgifter), enligt offentlighets och sekretesslagen, som rör rikets säkerhet. 3. Skydd mot terroristbrott (terrorism), enligt lagen om straff för terroristbrott, även om brott inte hotar rikets säkerhet. Säkerhetsskyddet skall utifrån detta förebygga att: - uppgifter som omfattas av sekretess och som berör rikets säkerhet obehörigen röjs, ändras eller förstörs (informationssäkerhet) - obehöriga inte får tillträde till platser där de kan få tillgång till uppgifter som avses i punkt 1 eller där verksamhet som har betydelse för rikets säkerhet bedrivs (tillträdesbegränsning), och - personer som inte är pålitliga från säkerhetssynpunkt deltar i verksamhet som har betydelse för rikets säkerhet (säkerhetsprövning) De uppgifter som ska skyddas är uppgifter som rör rikets säkerhet och avser uppgifter som angår verksamhet för att försvara landet eller planlägga eller annan förberedelse av sådan verksamhet eller uppgift som i övrigt rör totalförsvaret, om det antas att det skadar landets försvar eller på annat sätt vållar fara för rikets säkerhet om uppgiften röjs. Det kan vara uppgifter om den egna verksamheten eller uppgifter som kommer in från andra myndigheter eller organisationer. Säkerhetsskyddet omfattar också uppgifter som kan knytas till intresset att förebygga och beivra brott. 2 Syfte Syftet med denna plan är att den ska vara ett övergripande och gemensamt dokument för Sollefteå kommuns säkerhetsskyddsarbete. Planen redovisar kommunfullmäktiges viljeinriktning och mål för säkerhetsskyddsarbetet. Planen konkretiseras i särskilda anvisningar i separata dokument som fastställs av kommunchefen. 2 (6 )

4 3 Målsättning Sollefteå kommuns säkerhetsskydd ska vara utformat så att den samhällsviktiga verksamheten inom kommunens ansvarsområden skyddas. På så vis ges även ett skydd för riket. Några exempel på samhällsviktiga verksamheter som kan beröra eller ha betydelse för rikets säkerhet är bland annat energiförsörjning, tele och datakommunikationer, vattenförsörjning, transporter och livsmedelsförsörjning. 4 Förutsättningar och ansvar Det yttersta ansvaret för säkerhetsskyddet i kommunen vilar på kommunchefen på delegation från kommunstyrelsen. Kommunchefen har utsett säkerhetsskyddschef och ersättare. Säkerhetsskyddschefen utövar under kommunchefen kontroll över att säkerhetsskyddet finns, är tillräckligt och fungerar. Denne ska vidare på tjänstemannanivå samordna och handlägga ärenden inom säkerhetsskyddet samt säkerställa att berörd personal ges erforderlig utbildning. Säkerhetsskyddschefen är kommunens kontaktperson mot Säkerhetspolisen. Ansvaret för säkerhetsskyddet följer dock det ordinarie verksamhetsansvaret. Huvudenhetschefer, enhetschefer och verksamhetschefer samt VD för kommunala bolag eller motsvarande ansvarar för att, i samarbete med säkerhetsskyddschefen, utforma säkerhetsskyddet vid deras verksamheter. Arbetet för cheferna omfattar att bidra till framtagandet av en säkerhetsanalys av verksamheten och att vidta relevanta skyddsåtgärder i samråd med säkerhetsskyddschefen. För att kommunen ska kunna bedriva ett bra säkerhetsskyddsarbete krävs kunskap om vad som behöver skyddas och vilka hot och risker som kan tänkas finnas mot det skyddsvärda. Det gäller att identifiera den mest skyddsvärda informationen, de mest skyddsvärda ITsystemen, skyddsvärda anläggningarna och mest känsliga befattningarna. Detta görs i en säkerhetsanalys. Ett viktigt syfte med säkerhetsanalysen är att få fram ett beslutsunderlag för säkerhetsskyddsåtgärder. Säkerhetsskyddschefen ansvarar för att säkerhetsanalysen upprättas. Personal som kommer i kontakt med områden som säkerhetsanalysen har kommit fram till är skyddsvärda, ska genomgå säkerhetsprövning. Förtroendevalda omfattas inte av säkerhetsprövning. Kommunernas säkerhetsskydd kontrolleras av Säkerhetspolisen. 3 (6 )

5 5 Riktlinjer för säkerhetsskyddsarbetet Säkerhetsskyddet omfattar Säkerhetsanalys Tillträdesbegränsningar Informationssäkerhet Säkerhetsprövning och säkerhetsklassning Säkerhetsskyddad upphandling (SUA) Utbildning/kontroll och tillsyn Det ingår i huvudenhetschefer, enhetschefer och verksamhetschefer samt VD för kommunala bolag eller motsvarandes ansvar att i samråd med säkerhetsskyddschefen undersöka vilka uppgifter i verksamheten som är känsliga och ska hållas hemliga. Detsamma gäller de anläggningar som är av samhällsviktig karaktär. I enlighet med bestämmelserna i Säkerhetsskyddsförordningen (1996:633) 5 sammanställs resultatet av denna undersökning i en säkerhetsanalys. 5.1 Säkerhetsanalys Säkerhetsskyddschefen ansvarar för att det i kommunen genomförs och finns en aktuell dokumenterad säkerhetsanalys som fastställs av Kommunstyrelsen. Respektive enhet/verksamhet i kommunen biträder säkerhetsskyddschefen med genomförandet av analysen. Analysen ska innehålla vilka uppgifter i verksamheten som ska hållas hemliga med hänsyn till rikets säkerhet, vilka anläggningar som kräver ett säkerhetsskydd, vilka anställda eller anlitade som ska säkerhetsprövas samt vilka IT-system, både verksamhetssystem och kommunövergripande system, som innehåller skyddsvärd information med hänsyn till rikets säkerhet eller skyddet mot terrorism. 5.2 Tillträdesbegränsningar (anläggningar) Tillträdesbegränsningar handlar om att obehöriga inte får komma in i eller uppehålla sig i en anläggning eller i del av en anläggning, som är säkerhetskänslig. Syftet med tillträdesbegränsningen är att obehöriga inte ska få inblick i eller skaffa sig information om verksamheten i anläggningen eller i del av anläggningen. Verksamheter som är att anse som skyddsvärda ur ett samhällsviktigt perspektiv är t.ex. vattenförsörjning, elförsörjning, datakommunikation. 4 (6 )

6 5.3 Informationssäkerhet Information är en viktig tillgång och utgör en förutsättning för att kunna bedriva verksamheten. Den totala mängden information samt utbytet av information inom och mellan olika verksamheter i kommunen, med externa organisationer, allmänheten, förtroendevalda och andra intressenter, ökar i omfattning. Det är därför mycket betydelsefullt att informationshanteringen skyddas från såväl avsiktliga som oavsiktliga störningar. Informationssäkerheten omfattar alla verksamheter och gäller för all informationshantering inom Sollefteå kommun. Med informationstillgång avses all information oavsett i vilken form eller hur den behandlas, t.ex. fysiskt på papper, muntligt eller elektroniskt lagrad. All information som skapas eller används i anknytning till Sollefteå kommuns verksamhet ska skyddas mot hot oavsett hur den hanteras eller förvaras. Kontinuitetsplanering är av central betydelse för att bedriva verksamheten på en acceptabel nivå under såväl normala förhållanden som extraordinära händelser. En kontinuitetsplan ska finnas för driften av verksamhetssystem och övergripande IT-system baserad på de enskilda systemens krav på avbrotts- och katastrofplanering Säkerhetsprövning och säkerhetsklassning Säkerhetsprövning Säkerhetsprövning ska göras innan en person anställs och deltar i verksamhet som har betydelse för rikets säkerhet eller är viktig till skydd mot terrorism. Säkerhetsprövning kan ske även under pågående anställning. Syftet med säkerhetsprövningen är att klarlägga om personen är lämplig, det vill säga lojal och pålitlig ur säkerhetssynpunkt, för att ta del av hemlig information eller på annat sätt delta i verksamhet där de kan få inblick i sekretessbelagda förhållanden. Säkerhetsprövningen ska grunda sig på; Personlig kännedom och särskild personutredning för den prövningen gäller. Sker genom intervju och personligt samtal. Uppgifter som framgår av till exempel betyg, intyg och referenser. Uppgifter som framkommit vid registerkontroll Säkerhetsklassning Säkerhetsklassning innebär att en viss befattning endast får innehas av en person som dels säkerhetsprövats samt är svensk medborgare. Säkerhetsklassningen är kopplad till i vilken omfattning anställda kommer att hantera hemlig information och hur allvarligt det anses vara om de känsliga uppgifterna avslöjas på något sätt. Huvudenhetschefer, enhetschefer och verksamhetschefer samt VD för kommunala bolag eller motsvarande, ska undersöka och ajourhålla vilka anställningar inom verksamheten som kräver säkerhetsprövning. Resultatet av denna undersökning ska dokumenteras och rapporteras till säkerhetsskyddschefen. Därefter görs en bedömning, tillsammans med säkerhetsskyddschefen, om personen ska säkerhetsklassas. 1 En sådan plan tas fram inom ramen för Informationssäkerhetsarbetet i kommunen. 2 Vid registerkontroll hämtas uppgifter från register som omfattas av lagen (1998:620) om belastningsregister, lagen (1998:621) om misstankeregister eller lagen (2010:362) om polisens allmänna spaningsregister samt uppgifter som behandlas med stöd av polisdatalagen (2010:361). 5 (6 )

7 5.4.3 Säkerhetsprövning och säkerhetsklassning viktig skillnad Säkerhetsprövning ska göras av alla personer som på ett eller annat sätt får del av hemliga handlingar, tillträde till säkerhetsskyddade anläggningar eller på annat sätt ska delta i någon verksamhet som rör rikets säkerhet och i vilken de kan få inblickar i sådant som inte får röjas. Att säkerhetsprövning krävs innebär dock inte automatiskt att de befattningar dessa personer innehar ska säkerhetsklassas. Vid säkerhetsprövning gäller inte kravet på svenskt medborgarskap. Säkerhetsklassning görs av befattningar vars innehavare kommer att hantera hemlig information eller på annat sätt delta i säkerhetsskyddad verksamhet. Detta gäller verksamhet av betydelse för rikets säkerhet, att ett röjande av uppgifter kan antas medföra men för rikets säkerhet och att detta men inte endast är ringa. För säkerhetsklassade befattningar krävs både säkerhetsprövning och svenskt medborgarskap. 5.5 Säkerhetsskyddad upphandling (SUA) Allmänt gäller enligt säkerhetsskyddslagstiftningen att Sollefteå kommun, innan en upphandling sker, är skyldig att pröva om upphandlingen helt eller delvis ska omges av säkerhetsskydd. Om så är fallet ska säkerhetsskyddad upphandling med säkerhetsskyddsavtal (SUA) upprättas med leverantör och/eller underleverantör. Upphandlingsansvarig ska underrätta kommunens säkerhetsskyddschef om detta. Säkerhetspolisen ska vidare, om SUA föreligger, alltid underrättas och är även behjälplig i dessa frågor. Närmare anvisningar regleras i särskilda föreskrifter och råd om SUA Anvisningar, information och utbildning Anvisningar som reglerar hur säkerhetsskyddets olika delar skall bedrivas tas fram av säkerhetsskyddschef och fastställs av kommunchef. Säkerhetsskyddschef skall tillse att berörda verksamheter får tillräcklig information och utbildning för sina behov av säkerhetsskydd. 5.7 Kontroll och tillsyn Kontroller och tillsyn av säkerhetsskyddet vid berörda verksamheter genomförs av säkerhetsskyddschef. 3 Säkerhetspolisen har gett ut en handbok för säkerhetsskyddad upphandling med säkerhetsskyddsavtal (SUA). 6 (6 )